Yubico Yubikey 5Ci mit Lightninganschluss ausprobiert: Toll und schade zugleich

Erst kürzlich berichteten wir von der Unterstützung des Brave Browsers unter iOS für den neuen Yubikey 5Ci. Der Yubikey 5Ci kommt nämlich mit einem USB-C- sowie einem Lightning-Stecker, kann also erstmals auch direkt an iPhone oder iPad genutzt werden. Unter Android ist das mit dem USB-C-Anschluss nicht ganz so wichtig, denn da kann man auch die schon länger verfügbare NFC-Version eines Yubikeys verwenden.

Dennoch ließ mich die Vorstellung aufhorchen. Ich verfolge Yubico schon seit dem ersten Yubikey, bisher hat mich aber die eingeschränkte Nutzung (was sehr individuell ist) davon abgehalten. Ich bin da mehr so der „ganz oder gar nicht“-Typ, ich möchte nicht am Desktop auf eine Lösung setzen und mobil auf eine andere. Ein Yubikey mit USB-C und Lightning-Anschluss? Deckt alles ab, was ich in den letzten Jahren an Geräten da hatte und in den nächsten Jahren wohl hier haben werde.

Klar würde ich eine steckerlose Variante bevorzugen, NFC ist aber unter iOS nicht dafür freigegeben, eine andere Möglichkeit gibt es aktuell nicht. Schade, aber wie erwähnt ist bei mir mit Lightning und USB-C alles abgedeckt. Endlich ist meine Zeit für einen Yubikey gekommen – dachte ich zumindest.

Zur Erklärung, was man mit dem Stick eigentlich anstellen kann: Eine der Hauptfunktionen des Yubikey ist die Ersetzung eines 2-Faktor-Codes beim Login, man bestätigt mit dem Stick als zweiten Faktor die vorherigen Eingaben. Das klingt in der Theorie schon recht praktisch, ist bis dato sicher und sollte eigentlich im Interesse von jedem sein, der Online-Accounts besonders vor fremdem Zugriff schützen möchte.

Yubikeys werden bereits von einer Vielzahl von Diensten unterstützt, die ersten beiden Konten, die ich verknüpft habe, waren die von Google und Twitter. Das Prozedere ist immer dasselbe, in den Sicherheitseinstellungen der Dienste findet man irgendwo den Punkt „Sicherheitsschlüssel verwenden,“ allerdings ist der auch gerne mal ein bisschen versteckt. Eine gute Übersicht über alle unterstützten Dienste und wie man den Yubikey für die einzelnen aktiviert, gibt es an dieser Stelle.

Wichtig für Erstnutzer zu wissen: Man muss den Yubikey nicht konfigurieren oder so. Man surft einfach den Dienst an, der den Yubikey unterstützt und kann dann direkt loslegen. Nutzt man den Yubikey nur als zweiten Faktor für Logins, benötigt man nichts weiter, man kann über eine Manager-Software aber auch noch mehr aus dem Stick rausholen, darauf werde ich aber nicht eingehen. Bestandsnutzer wissen um die Möglichkeiten.

Allerdings muss nicht nur der Dienst den Yubikey unterstützen, sondern auch der genutzte Browser – und das ist der größte Abfuck an der ganzen Sache. So groß, dass man (ich) sehr schnell jede Lust an der Nutzung verliert, Sicherheit hin oder her. Kurz zu dem von mir genutzten Setup: MacBook Air, iPhone XS, wechselnde Android-Smartphones mit USB-C.

Ich nutze auf dem Mac seit Jahren keinen Chrome-Browser mehr als Standard-Browser, ich genieße da die Vorzüge des goldenen Käfigs von Apple und verwende Safari. Auf dem Android-Smartphone wird Chrome verwendet, also ebenfalls der System-Standard. So wie es bei zahlreichen Nutzern der Fall sein wird.

Da kommt nun also der YubiKey 5Ci mit seinem „Made for iPhone / iPad / iPod“-Label, da geht man eigentlich davon aus, dass man den auch einfach so nutzen kann. Ganz so einfach ist es dann aber doch nicht. Los geht es unter yubico.com/start, dort kann man einfach den ersten Dienst auswählen, den man mit dem Yubikey verknüpfen möchte.

Das habe ich getan, Modell ausgewählt und dann den Dienst, in diesem Fall Google. Man wird auf Wunsch direkt zu den Einstellungen bei Google geschickt. Dort wählt man dann als zweiten Faktor einen Sicherheitsschlüssel aus. Allerdings sollte man vorher eben den passenden Browser haben, Safari lässt schnell wissen, dass Yubikey nicht unterstützt wird (und lässt in diesem Moment schon schlimmes für die mobile Version erahnen).

Also Chrome auf dem Mac entstaubt, bei Google eingeloggt und einfach mal geschaut, was passiert. Den Yubikey konnte ich auswählen, ich bekam dann auch rasch die Aufforderung, diesen zu berühren (so bestätigt man Aktionen, zwei kann man für kurze und lange Berührung festlegen). Fertig, das war es.

Möchte ich mich jetzt bei Google einloggen (vorausgesetzt ich nutze Chrome oder einen anderen kompatiblen Browser), muss ich nach Eingabe von Nutzername und Passwort nur noch den Stick berühren. Bislang habe ich bei Google auf die Bestätigung per App gesetzt, das ist am MacBook mit Yubikey schon komfortabler.

Das hat mit Google gut funktioniert, also direkt zu Twitter, um auch dort entsprechende Einstellung vorzunehmen. Gut, dass ich schon wieder mit Safari unterwegs war, ich erkannte es dann an der „nutz gefälligst einen anderen Browser“-Meldung, die sich mir drohend entgegen stellte. Aber auch bei Twitter war die Einrichtung einfach, ich war also gewappnet für die mobilen Gehversuche.

Bei Safari unter iOS machte ich mir gar keine große Hoffnung mehr und nahm dann auch den entsprechende Hinweis, dass ich für Sicherheitsschlüssel doch bitte einen unterstützten Browser verwenden soll, eher gelassen entgegen. Ich wusste ja, dass Chrome sich da nicht so hat und Chrome habe ich eh auf dem iPhone, was soll es also.

Joa, auch Chrome hat mich da im Stich gelassen, eine Nutzung auf dem iPhone mit dem Yubikey 5Ci ist (noch?) nicht möglich. Zu diesem Zeitpunkt hatte ich schon keine große Lust mehr auf das Gadget, aber aufgeben ist ja auch nicht. Also musste der Brave Browser für iOS herhalten. Nicht, dass das dann direkt geklappt hätte, bei Google war es mir auch nach viel Probiererei mit unterschiedlichen Einstellungen nicht möglich, die Abfrage des Sicherheitsschlüssels über den Brave-Browser zu triggern.

Bei Twitter wurde ich erst einmal mit der Meldung begrüßt, dass ich kein Javascript aktiviert hätte, ob ich nicht zu Legacy Twitter wechseln wolle. Also in den Einstellungen von Brave noch schnell Skripte zugelassen und schon war eine Anmeldung möglich. Das funktioniert dann auch super, Yubikey einstecken, kurz an den beiden Seiten berühren und schon ist man drin. Aber der Weg dorthin ist schon ein sehr steiniger.

Bitte nicht falsch verstehen, wer sein Online-Leben auf Sicherheit auslegt, der erhält mit dem YubiKey 5Ci vermutlich ein Tool, auf das er schon sehr lange gewartet hat, dafür sorgen USB-C und Lightning. Aber einen Neunutzer, der sein jetziges Online-Leben etwas sicherer machen möchte, holt man damit nicht ab. Das Konzept des Yubikey ist super, wie schon immer. Aber die Usability lässt auch mit dem neuesten Wurf zu wünschen übrig.

Wäre ich überzeugter Yubikey-Nutzer, auch ich würde das neue Modell abfeiern, da es eben auch endlich eine direkte Verbindung zu iPhone und iPad ermöglicht. Als jemand, der gedacht hat, dass er einen Yubikey nun einfach für alle sicheren Logins nutzen kann, bin ich enttäuscht.

Klar, da kann Yubico nicht viel dafür, aber das System ist auch nicht erst seit gestern unterwegs. Da kann man 2019 schon erwarten, dass man eben Standard-Browser auf seinen Geräten nutzen kann und nicht seine ganzen Abläufe auf ein Sicherheitsmerkmal auslegen muss. Auch wenn es natürlich an den Entwicklern, in diesem Fall vor allem Apple, liegt, dass es an einer Unterstützung mangelt. Das ist der falsche Weg, möchte man diese Form der Sicherheit tatsächlich zu den Massen bringen.

Insgesamt ist der Yubikey 5Ci schon ein tolles Gerät, wenn man um die Einsatzbeschränkungen weiß oder eben schon ein für sich passendes System drumherum gebastelt hat. 70 Dollar kostet das Gadget, das sich problemlos an einer Vielzahl von Geräten nutzen lässt. Ein fairer Preis für Sicherheit, aber der Yubikey 5Ci ist eben leider nicht für jeden etwas.